Rufen Sie uns an:
0251 149891-0
Verpflichtende Angabe des Geburtsdatums im Bestellprozess einer Online-Apotheke stellt Datenschutzverstoß dar
Das Oberverwaltungsgericht (OVG) Lüneburg hat mit Beschluss vom 23.01.2024, Az.: 14 LA 1/24 entschieden, dass die Angabe eines Geburtsdatums zur Identifizierung des Kunden nicht erforderlich ist, sodass die verpflichtende Angabe im Bestellprozess einer Online-Apotheke einen Datenschutzverstoß darstellt.
Hintergrund der Entscheidung
Die Betreiberin einer Online-Versandapotheke verlangte im Rahmen des Bestellprozesses die verpflichtende Angabe eines Geburtsdatums. Die zuständige Datenschutzbehörde untersagte der Apothekenbetreiberin die Erhebung und Verarbeitung des Geburtsdatums im Bestellprozess. Die Behörde begründete die Untersagungsverfügung damit, dass die Erhebung und Verarbeitung des Geburtsdatums unabhängig davon, welches Produkt bestellt werde, gegen das in Art. 5 Abs. 1 lit. a DS-GVO normierte Prinzip der Rechtmäßigkeit der Verarbeitung verstoße, da die Erhebung und Verarbeitung des Geburtsdatums auf keine der in Art. 6 Abs. 1 DS-GVO geregelten Rechtsgrundlagen gestützt werden könne.
Die Betreiberin der Apotheke klagte vor dem Verwaltungsgericht (VG) Hannover gegen die Untersagungsverfügung, jedoch erfolglos. Das VG Hannover wies die Klage ab.
Die Betreiberin der Apotheke legte daher gegen die Entscheidung des VG Hannover Berufung ein.
Die Entscheidung des Gerichts
Das OVG Lüneburg bestätigte die Entscheidung des VG Hannover und wies die Berufung zurück. Nach Auffassung des OVG Lüneburg ist die Angabe des Geburtsdatums nicht zwingend als Identifizierungskriterium erforderlich.
Einerseits verfügt die Betreiberin der Apotheke über die Anschrift und die Telefonnummer des Bestellers. Es sei nach Auffassung des Gerichts nicht ersichtlich, warum mit diesen Daten nicht bereits eine hinreichend sichere Identifizierung des Kunden möglich sein soll. Andererseits ist zu berücksichtigen, dass der Besteller und diejenige Person, für die das bestellte Produkt zur Anwendung bzw. Einnahme bestimmt ist, nicht identisch sein müssen. Für die Erfüllung von Beratungspflichten sei aber nicht die eindeutige Identifizierung des Bestellers, sondern der Person erforderlich, die das bestellte Produkt anwenden bzw. einnehmen wird. Daher scheine auch die Anlage eines Arzneimitteldossiers für den Besteller zur Erfüllung von Beratungs- und Informationspflichten nicht geeignet.
Auch zur Feststellung der Geschäftsfähigkeit des Kunden sei die Angabe des Geburtsdatums nicht erforderlich, da die einfache Abfrage der Volljährigkeit das mildere Mittel sei. Mangels Erforderlichkeit stellt die verpflichtende Abfrage des Geburtsdatums daher einen Datenschutzverstoß dar.
Weitere Informationen
Haben Sie Fragen? Wir beraten Sie gerne!
Schreiben Sie uns eine Mail: